İnsanların Aradığı 920 Ödeme ve Banka Sitesinin Güvenlik Durumu — 13.4 Milyon Arama Önerisi Phase5 Araştırmasıyla Birleştirildi

• 48 bölge ve 20 dilde 3,472 ödeme, banka, perakende ve günlük hizmet markası için 13.4 milyon arama önerisi (9.28 milyon benzersiz) topladım ve bu önerilerin işaret ettiği 920 sitenin herkese açık yapılandırmasını, her birine tek bir sıradan sayfa yüklemesiyle gözlemledim. Ardından her marka-site eşleştirmesi elle kontrol edildi; kontrolden geçen 680 site bu makaledeki tüm rakamların temelini oluşturuyor.
• 269 ödeme ve banka sitesinin 26.4%'ünde (71) şunlardan en az biri vardı: HSTS yok, sunucu sürümü açıkta veya desteği bitmiş bir sürüm. En yaygın eksik HSTS'nin olmamasıydı (20.1%). 16.4%'ü TLS 1.3 ile anlaşma sağlamadı; yanıt veren her site TLS 1.2 veya üstünü kullanıyordu.
• Hiçbir ödeme veya banka sitesi desteği bitmiş bir PHP sürümünü açığa vurmadı. Yeni taranan 1,705 sunucunun tamamında yalnızca 18'i (apex ve www birlikte sayıldığında 9 site) bir PHP sürümü açıkladı ve bunların 5'i (3 site) desteği bitmiş sürümdü. Güvenlik Açığa Çıkma Araştırması 2026'daki genel nüfusla karşılaştırıldığında, ödeme ve banka siteleri ya sürümlerini gizliyor ya da güncel tutuyor.
• Yalnızca marka adı için dönen 3.18 milyon öneri içinde "kesinti", "ödeme başarısız" veya "giriş yapamıyorum" gibi sözcükler içeren önerilerin payı (sorun araması oranı) 0.29% oldu. Herhangi bir marka için en yüksek değer 10.0% idi ve markaların yarısından fazlasında hiç yoktu. Kesintilerden yakınan aramalar önerilerde nadirdir.
• Yirmi iyi örnek (Tablo A) ve sorun gözlenen 92 site (Tablo B) adıyla veriliyor. Tablo B herkese açık olguları — TLS ayarları ve HTTP başlıkları — kaydeder ve herhangi bir sitenin istismar edilebilir olduğunun tespit edildiği anlamına gelmez.

Bu makale İngilizce olarak sitescouter.net ve nkzw.jp adreslerinde, Japonca olarak sitescouter.net adresinde de yayımlanmıştır. Bu, İngilizce sürümden çevrilen Site Scouter Türkçe sürümüdür.

Yöntem

Bu makale iki araştırmayı birleştiriyor (Şekil 1).

1. Öneri toplama (Egosaru). 48 bölge ve 20 dilde, arama kutusuna bir marka adı yazıldığında Google, Bing, Yahoo!, Yandex, Naver, Baidu, Daum ve Shopee'nin gösterdiği önerileri kaydettim. İki tür tohum sorgu kullanıldı: yalnızca marka adı ("düz tohum") ve marka adı artı bir sorun sözcüğü ("bileşik tohum"). Bu, 83,275 alma işi (83,016 tamamlandı, 259 başarısız) ve 13,438,498 öneri (9,280,238 benzersiz) üretti; veriler 24–26 Ekim 2026 tarihlerinde toplandı.
2. Herkese açık yapılandırma gözlemi (Site Scouter Phase5). Ortaya çıkan markalar için sitelerini belirledim (5,408 aday sunucu, bunların 2,842'si DNS ve HTTPS'e yanıt verdi) ve önceki araştırmada henüz bulunmayan 1,705 sunucuyu ilk kez gözlemledim. Her gözlem bir DNS sorgusu, bir TLS el sıkışması ve bir HTTP GET isteğinden oluşur — siteyi tarayıcıda bir kez açmakla aynıdır. Port taraması, zafiyet yoklaması, kimlik doğrulama denemesi veya istismar trafiği yoktu. Gözlemler 22–26 Ekim 2026 tarihlerinde yapıldı.
3. İkisi marka düzeyinde birleştirildi; sonuçta 9,181 marka × bölge × arama motoru satırı ve 920 benzersiz sunucu elde edildi. Ardından 920 sunucunun her biri, gerçekten markanın resmi sitesi olup olmadığı doğrulanmak üzere elle kontrol edildi; kontrolden geçen 680 sunucu makale boyunca kullanılan paydadır (yanlış eşleştirilmiş 212 ve belirlenemeyen 28 sunucu çıkarıldı). Bu makaledeki tüm paydalar sunucu sayısıdır.

Bir markayı sitesine eşleştirmek, tam (2,630) ve kısmi (2,778) sunucu adı eşleşmelerini kullanan otomatik bir süreçti ve bu süreç benzer adlı ilgisiz siteleri de seçiyordu. 920 sunucunun tamamının elle kontrolü, markaya ait olmayan 212 (23.0%) sunucu (örneğin benzer adlı ilgisiz bir siteye eşlenen "Hello bank" ya da bankanın sitesine eşlenen "SMBC Nikko Securities") ve belirlenemeyen 28 sunucu ortaya çıkardı. Hatalar "Easy", "Media" veya "Wi-Fi" gibi genel marka adları ile aynı adı taşıyan ilgisiz kuruluşlar etrafında yoğunlaşıyor. §4'teki toplamlar ile Tablo A ve B yalnızca bu kontrolden geçen 680 sunucuyu kullanır. Çıkarılan sunucuların ölçülen ayarları kendi başına geçerlidir; ancak onlara atanan sektör ve ülke yanlış olduğu için çıkarıldılar.

Tanımlar

• Sorun araması oranı: yalnızca marka adı için dönen öneriler içinde, her dil için önceden tanımlanmış bir sorun sözcüğünü — "kesinti", "çöktü", "ödeme başarısız", "giriş yapamıyorum", "uygulama açılmıyor", "kupon çalışmıyor" ve benzerleri — içerenlerin payı. Bir kesinti yaşandığı anlamına gelmez. Kullanıcıların sorunlar hakkında ne kadar arama yaptığına yaklaşık bir ölçüdür.
• Bir öneride sorun sözcüğü bulunması, hizmetin bir zafiyet veya izinsiz giriş nedeniyle durduğu anlamına gelmez. Nedenler ağ olayları ve yoğunluktan kullanıcı hatasına ve geçmiş olayların süren izlerine kadar uzanır; önerilerin toplandığı zaman da güvenlik gözleminin zamanıyla örtüşmez. İkisini yan yana göstermek bir korelasyon veya nedensellik iddiası değildir; "kullanıcıların en sık andığı hizmetlerin gözlem anındaki yapılandırmasını" gösterir.
• Yapılandırma sorunu (bu makalede "sorunu var" ifadesinin anlamı): (1) HSTS başlığı yok (HTTPS'i zorunlu kılan başlık); (2) sunucu ürünü veya sürümü dışarıdan görünüyor; (3) açıktaki sürüm desteği bitmiş veya yayımlanmış bir CVE'nin kapsamında. Hiçbir müdahaleci test yapılmadı ve burada hiçbir şey bir sitenin "gerçekten ele geçirilebileceğini" söylemez.
• TLS 1.3 yok: TLS 1.3 sunan bir el sıkışmada TLS 1.2 ile anlaşma sağlandı. "Önerilen düzeyin altında" olarak ayrı bir sütunda gösterilir ve sorun olarak sayılmaz. Yalnızca TLS 1.0/1.1 destekleyen siteler bağlantı kuramaz ve bu yöntemle diğer başarısızlıklardan ayırt edilemez (Tablo B'deki "TLS 1.0/1.1 kabul ediyor" sütunu ayrı bir ek el sıkışmasından gelir ve bilgi amaçlı verilmiştir).
• CVE sayıları, başlıktaki sürüm dizesinden türetilen bir üst sınırdır. Debian ve RHEL gibi dağıtımlar düzeltmeleri sürüm numarasını değiştirmeden geri taşır (backport); bu yöntem bunu göremez. CVE-2024-3566 büyük ölçüde Windows'a özgü bir durum olduğundan, RCE açığa çıkma oranı bu CVE hariç tutularak da verilmiştir.

Sorun araması oranı — şikâyetler aramaların küçük bir azınlığı

Yalnızca marka adı için dönen 3,178,854 önerinin 9,104'ü (0.29%) bir sorun sözcüğü içeriyordu. En az 100 düz tohum önerisi olan 8,236 marka × bölge × arama motoru kombinasyonunda medyan 0.0%, 90. yüzdelik 0.9%, 99. yüzdelik 3.0% ve en yüksek değer 10.0% idi (Vietnam'da BIDV SmartBanking, Google). 5,169 kombinasyonda (62.8%) hiç sorun sözcüklü öneri yoktu.

Ülke bazında en yüksek değerler İrlanda (0.83%), Avustralya (0.76%), Hollanda (0.63%), Yeni Zelanda (0.55%) ve Birleşik Krallık'ta (0.54%); en düşükler Hong Kong (0.02%), BAE (0.04%), Şili (0.08%) ve Portekiz'de (0.08%) görüldü. Japonya 0.28% ile (549,558 düz tohum önerisi içinden) 41 ülke arasında 21. sırada yer aldı. Öneri davranışı ve sorun sözcük dağarcığı dile göre değiştiğinden, ülkeler arasındaki farklar yalnızca gösterge niteliğindedir.

Japonya'da (Google) en yüksek oranlar Wi-Fi (4.1%), au Hikari (3.7%), docomo Hikari (3.7%), OCN (3.4%), Ekinet (3.1%), SoftBank Hikari (3.0%), Rakuten Mobile (2.7%), BIGLOBE (2.7%) ve NURO Hikari (2.5%) idi — geniş bant ve mobil operatörlerden oluşan bir liste. Ödeme ve banka markaları arasında Rakuten Pay (2.3%), Vandle Card (2.2%), Rakuten Card (2.0%), QUICPay (1.9%) ve d-Barai (1.8%) öndeydi; hepsi 2% civarında.

Sorun sözcükleri, marka adı çıkarılmış her öneride sözcük sınırlarına göre eşleştirildi (eşleştirme yöntemi 27 Ekim 2026'da revize edildi ve bu makaledeki her değer o revizyondan sonrasına aittir).

Yüksek sorun araması oranı bir zafiyet değildir — NURO Hikari ve menu

Önerilerinde sorun sözcükleri bulunan iki Japon hizmeti için, önerilerin kendisini aynı döneme ait herkese açık yapılandırma gözleminin yanında veriyoruz. Bir öneride sorun sözcüğü bulunması, hizmetin bir zafiyet veya izinsiz giriş nedeniyle durduğu anlamına gelmez. Hat arızaları, sistem kesintileri, bakım çalışmaları ve uygulama hataları — zafiyetlerle ilgisi olmayan sorunlar — aynı sözcüklerle aranır ve öneri toplama zamanı gözlem zamanıyla örtüşmez.

NURO Hikari, bir geniş bant hizmetinden beklendiği gibi "bağlanmıyor" aramalarını çekiyor; ancak herkese açık yapılandırmasında hiçbir eksik görülmedi: kullanıcıların sorunları hatta veya ev ekipmanında ortaya çıkıyor, yani web sitesinin ayarlarından farklı bir katmanda. menu'nun sorun sözcüğü payı düşük; bunun yerine "hizmet sona erdi" ve "üyelikten çıkış" gibi öneriler görünüyor ve site her iki gözlemde de 502 döndürdü. Her iki durumda da önerilerdeki sorun sözcükleri yapılandırma eksiklerine karşılık gelmiyor. Sorun araması oranı, kullanıcıların arama yaparken neyle uğraştığını gösterir; bir güvenlik zayıflığı göstergesi değildir.

Bu veride sorun araması oranı ile bir sitenin yapılandırma sorunları olup olmadığı arasında görünür bir ilişki yoktu (Şekil 2). §2'de açıklandığı gibi ikisi farklı zamanlarda ve farklı nedenlerle belirlenir. Bu nedenle öneri araştırması bir örneklem çerçevesi — "ödeme, banka ve perakende aramalarında sık anılan hizmetler" — işlevi görür ve §4–§6 bu örneklemin yapılandırmasını anlatır.

Güvenlik durumu

Kategoriye göre (680 sunucu)

Her sunucunun kategorisi, ona işaret eden marka × bölge × arama motoru satırları arasında en sık görülen kesimdir; bu dört kesimin dışında kalan 40 sunucu ("diğer") tabloya alınmadı.

Ödeme ve bankayı birlikte ele aldığımızda 269 sunucunun 71'inde (26.4%) sorun vardı: 54'ünde (20.1%) HSTS yoktu ve 25'i (9.3%) sürümünü açığa vuruyordu; 44'ü (16.4%) TLS 1.3 ile anlaşma sağlamadı. Bu, perakendeden (39.3%) ve günlük hizmetlerden (36.3%) düşüktür; yani ödeme ve banka siteleri görece iyi yapılandırılmış — yine de dörtte birinde bir eksik var ve beşte birinde HSTS yok.

Bölgeye göre

Bölge, markanın arandığı bölgeyi değil, sunucunun kendi ülkesini (ülke kodlu alan adları ve benzerlerinden türetilen) ifade eder. 680 sunucunun 292'si (42.9%) .com veya ülkesi belirlenemeyen başka alan adları kullanıyor; bunlar ayrı bir satırda gösterildi. 17 AB ülkesi şunlardır: Almanya, Fransa, İtalya, İspanya, Hollanda, Belçika, Avusturya, Portekiz, İrlanda, İsveç, Danimarka, Finlandiya, Polonya, Çekya, Yunanistan, Macaristan ve Romanya.

Yalnızca Amerika Birleşik Devletleri'nde (83) 20 veya daha fazla sunucu var; onu Vietnam (18, 11'inde sorun), Japonya (18, 8'inde sorun) ve İtalya (16, 8'inde sorun) izliyor. Örneklemler bu kadar küçük olduğundan ülkeler sıralanmamıştır.

Japonya'nın 18 sunucusu çoğunlukla .jp alan adlarıdır. Sekizinde sorun vardı ve hepsinde eksik olan HSTS idi (povo, LINEMO, IIJmio, TVer, NHK, Qoo10, PayID, Alipay). Hiçbir Japon sunucusu sürüm açığa vurmadı; desteği bitmiş PHP veya RCE CVE kapsamında bir sürüm de bulunmadı.

Bankalar ve ödeme hizmetleri sağlam duruyor — iyi örnekler (Tablo A)

Seçim ölçütü: arama görünürlüğüne (düz tohum öneri sayısı) göre azalan sırada, TLS 1.3 ile bağlanan, HSTS gönderen ve sunucu sürümünü açığa vurmayan hizmetler. Sunucu-marka eşleştirmesi benim ve veri sağlayıcının birbirinden bağımsız olarak doğruladığı 19 hizmet, en çok arananlar başta olmak üzere listeleniyor. Japonya'dan PASMO, JCB Card ve BitCash yer alıyor.

Sınır ötesi ödeme hizmetlerinin — PayPal, Stripe, Wise, Klarna, Venmo, Paytm, PhonePe — tamamı üç koşulu da karşıladı. Bu, güvenliklerinin "yeterli" olduğu anlamına gelmez; dışarıdan görülebilen üç temel ayarda hiçbir eksik olmadığı anlamına gelir.

Sorun gözlenen hizmetler (Tablo B)

Seçim ölçütü: her ülkede arama görünürlüğüne göre azalan sırada, HSTS eksikliği, açıktaki bir sürüm veya desteği bitmiş bir sürüm gözlenen hizmetler. Sunucu-marka eşleştirmesi benim ve veri sağlayıcının doğruladığı 99 hizmet, ülkeye ve arama görünürlüğüne göre listeleniyor. Otomatik belirlemesi yanlış olan yetmiş dört satır (örneğin benzer adlı ilgisiz bir siteye eşlenen "Hello bank" ya da bankanın sitesine eşlenen "SMBC Nikko Securities") çıkarıldı. Kendi ülkesi dışındaki bir bölgede aranan markalar (Commerzbank, Morrisons, Jean Coutu, Qantas) kendi ülkeleri altında listeleniyor. URL'ler bağlantı olarak değil, düz metin olarak veriliyor. Her satır belirtilen zamandaki bir gözlemdir; ayar o zamandan beri düzeltilmiş olabilir.

Japonya'daki yedi kaydın tamamında HSTS eksik ve hiçbiri sürüm açığa vurmuyor; Alipay ve Qoo10 ayrıca TLS 1.0/1.1 bağlantılarını kabul etti. Desteği bitmiş PHP iki sitede görüldü — İtalya'da ACI (otomobil kulübü, 7.4.33) ve Avustralya'da TPG (telekom, 7.4.33) — ikisi de ödeme veya banka hizmeti değil.

PHP zafiyetlerine yanıt — ödeme ve banka sitelerinde desteği bitmiş sürüm sıfır

Yeni gözlenen 1,705 sunucunun, CVSS 9.8 düzeyinde bir PHP zafiyeti yayımlandı. Dünya yamayı yaptı mı? ve Güvenlik Açığa Çıkma Araştırması 2026 yazılarında ele alınan 2026'nın kritik PHP zafiyeti (CVSS 9.8) karşısındaki durumu şöyle:

PHP sürümünü açıklayan yalnızca 18 sunucu olduğundan, sayılar oranlardan daha anlamlıdır. 18 sunucunun on üçü 2026 düzeltmeli bir sürüm çalıştırıyor — sürümü gizlemiyorlar ama güncelliyorlar. Desteği bitmiş üç site bir İtalyan otomobil kulübü, bir Avustralya telekom şirketi ve bir Peru sosyal sigorta kurumu; hiçbiri ödeme veya banka hizmeti değil. Bu durum, PHP sürümünü açıklayan sitelerin 52.3%'ünde desteği bitmiş bir sürüm görülen Güvenlik Açığa Çıkma Araştırması 2026'daki genel Japon siteleriyle keskin bir tezat oluşturuyor.

Sınırlar ve uyarılar

• Müdahaleci olmayan gözlem: site başına bir DNS sorgusu, bir TLS el sıkışması ve bir HTTP GET isteği (artı Tablo B'deki TLS 1.0/1.1 sütunu için bir ek el sıkışması). Hiçbir saldırı denenmedi.
• Açığa çıkma rakamları üst sınırdır; eski bir sürüm dizesi geri taşınan düzeltmelerle zaten yamanmış olabilir.
• Marka-site eşleştirmesi otomatikti: 920 sunucunun tamamının elle kontrolü 212 (23.0%) yanlış eşleştirme ve belirlenemeyen 28 sunucu ortaya çıkardı. Toplamlar ile Tablo A ve B yalnızca kontrolden geçen 680 sunucuyu kullanır; ancak elle kontrol de hataları gözden kaçırabilir.
• Öneriler talebe yalnızca yaklaşık bir ölçüdür. Bölgeye, dile ve zamana göre değişirler; aynı marka Google ve Bing'de farklı adaylar verir. Sorun sözcük dağarcığı her dil için tanımlandı ve eksiksiz değildir.
• Bazı ülkelerde örneklemler küçüktür. Japonya'da 18 sunucu var; oranları gösterge niteliğindedir ve sayılarla birlikte verilir. Ülkeler sıralanmamıştır.
• Zamanlama farklıdır: öneriler 24–26 Ekim, gözlemler 22–26 Ekim tarihlerinde yapıldı.
• CSP, çerez öznitelikleri ve sertifikalar burada ele alınmadı (bkz. Güvenlik Açığa Çıkma Araştırması 2026).

Site yöneticilerinin kontrol etmesi gerekenler

1. HSTS'yi etkinleştirin. Ödeme ve banka sitelerinin 20.1%'inde yoktu. Strict-Transport-Security: max-age=31536000; includeSubDomains döndürmek, HTTP ile gelmeye çalışan kullanıcıları HTTPS'e sabitler.
2. TLS 1.3'ü etkinleştirin, TLS 1.0/1.1'i devre dışı bırakın. Ödeme ve banka sitelerinin 16.4%'ü TLS 1.2'de kaldı.
3. Sunucu sürümlerini gizleyin (expose_php = Off, ServerTokens Prod, server_tokens off) — güncellemeden sonra.
4. Desteği bitmiş sürümleri değiştirin. PHP için 8.3 veya üstüne ve 2026 düzeltmeli sürümlerine (8.2.35 / 8.3.36 / 8.4.27 / 8.5.12) ya da daha yenilerine geçin. Adım adım prosedür PHP pratikte nasıl yükseltilir yazısında.
5. Kendi sitenizi kontrol edin. Site Scouter'ın Sunucu bilgisi kontrolü (/server/) aracına bir URL girerek, bu makaledeki yöntemin aynısıyla sunucunuzun dış dünyaya neler gösterdiğini (TLS, HSTS, sunucu başlıkları, sertifika, çerez öznitelikleri) yaklaşık on saniyede görün. Kayıt gerekmez.

İlgili: CVSS 9.8 düzeyinde bir PHP zafiyeti yayımlandı. Dünya yamayı yaptı mı? (yazarın blogu) / Güvenlik Açığa Çıkma Araştırması 2026 (Site Scouter)

SSS

Bu bir saldırı mı?

Hayır. Her site, tarayıcıda bir kez açılmakla aynı erişimi aldı ve yalnızca herkese açık HTTP yanıtları ile DNS verileri kullanıldı.

Tablo B'deki hizmetler tehlikeli mi?

Tablo B, belirtilen zamanda herkese açık bilgilerden gözlemlenebilen yapılandırma eksiklerini listeler; herhangi bir sitenin ele geçirilebileceğini ortaya koymaz. Eksik bir HSTS başlığı veya açıktaki bir sürüm tek başına veri sızdırmaz; bunlar başka koşullarla birleştiğinde etkisi büyüyen eksiklerdir.

Neden adlarını veriyorsunuz?

Olgular TLS ayarları ve HTTP başlıklarıdır — herkesin aynı adımlarla yeniden üretebileceği herkese açık bilgiler. Saldırganlar bunları zaten biliyor; dolayısıyla yayımlamak riske pek bir şey eklemezken kullanıcılar ve site yöneticileri hizmetlerinin durumunu bilmekten yarar sağlar. Yayımlamadan önce önceden bildirim gönderilmedi.

Soru veya düzeltmeleri nereye gönderebilirim?

Bu sayfanın sonundaki yazar iletişim bilgilerine. Bir ayar gözlemden sonra düzeltildiyse yeniden gözlemleyip bir not ekleyeceğim.

Veriler değiştirildi mi?

Öneriler her alma işleminde eklendi ve gözlem sonuçları yalnızca ekleme yapılabilen bir tabloda saklandı. Toplama sırasında sorun araması oranının eşleştirme yöntemi revize edildi (§3) ve oran yeniden hesaplandı; makale yeniden hesaplanan değerleri kullanır, düzeltme öncesi değerler yayımlanmamıştır.

Kaynaklar

Son kontrol: 2026-10-28. Teknik özellikler ve politikalar değişebilir; harekete geçmeden önce birincil kaynakları kontrol edin.

• MDN: Strict-Transport-Security
• RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3
• PHP: Supported Versions (php.net)
• NVD - National Vulnerability Database (NIST)
• Egosaru (search suggestion tool)